Radar

Op 14 okt 2005 zijn we van Wanadoo ADSL overgestapt naar Tiscali Telefonie totaal. Dit met de reden dat via de Livebox van Wanadoo niet met VPN te werken is. Met Tiscali was dat probleem opgelost. Perfect zou je denken. Op vrijdag 2-12-2005 bleken we in een keer geen verbinding meer te hebben. Na een telefoontje naar Tiscali werd me verteld dat we een virus zouden verspreiden en dat we daarom geblokkeerd werden. Er zou een waarschuwingsmail gestuurd zijn. NIET DUS!! We moesten eerst de pc virusvrij maken en dat zouden we weer worden aangesloten. Ik kon dus niet werken vanuit huis wat me geld heeft gekost. Ik heb een mail gestuurd met het verzoek die waarschuwing naar me te mailen. Na aandringen kreeg ik het mailtje welke ik nog nooit eerder had gezien.

Geachte heer/mevrouw,

Wij hebben klachten ontvangen over virussen die u via het internet aan
anderen verzendt. We gaan er vanuit dat er geen sprake is van opzet aan uw
kant. Het is echter zaak om verdere overlast voor andere internet gebruikers
te voorkomen. Wij verzoeken u om uw computer virusvrij te maken door deze te
laten scannen door een goede virusscanner.

Indien u geen virusscanner heeft, of niet juist meer functioneert, gebruik
dan de tool van Mcafee die gratis te downloaden is op
http://download.nai.com/products/mcafee ... -g-e-r.exe . Let op!
Deze tool is geen vervanger voor een virusscanner! Het is slechts een
hulpmiddel om de nieuwste virussen van uw computer te verwijderen.

Ook kunt u op http://tucows.tiscali.nl een aantal goede virusscanners
vinden. Grisoft stelt voor particulieren met 1 computer gratis een scanner
ter beschikking: http://free.grisoft.com/doc/1

Indien u geen gehoor geeft aan dit bericht dan bestaat de kans dat wij opnieuw klachten zullen ontvangen. Als er, na meer dan 24 uur na verzending van dit bericht, klachten binnenkomen zijn wij genoodzaakt uw ccount,
zonder u opnieuw te berichten, tijdelijk te blokkeren. In dat geval dient u telefonisch contact op te nemen met onze servicedesk op onderstaand nummer over een mogelijke deblokkade van uw account.

Nu kan ik me indenken dat er inderdaad wel eens een virus op je pc verschijnt waar je het bestaan niet van wist want we worden er allen mee bestookt. Maar goed: We hebben twee pc's thuis die we virusvrij hebben gemaakt met: AVG Virusscanner, Norton Antivirus, Spybot, Hitman en ga zo maar door. 1 pc hebben we zelfs geformateerd en opnieuw ingericht.
Na dit te hebben doorgegeven werden we weer aangesloten. En we bleven voor zover wij het kunnen zien Virusvrij. We willen dit niet weer meemaken.
Afijn: Een week later, Wederom tot aan vandaag toe geen internet en telefoon. Weer compleet afgesloten en wederom zonder waarschuwing. Nu kregen we twee dagen een brief thuis met de mededeling dat we nog wel een kans kregen om wederom aangesloten te worden wanneer we binnen 6 weken een kopiefactuur van een erkend ICT bedrijf sturen waarin staat vermeld dat de pc's virusvrij zijn. En dit terwijl we zelf beide in de ICT werkzaam zijn. Het is te gek voor woorden.Kan dit allemaal zomaar? We zijn er nu helemaal flauw van en willen uiteraard niets meer met Tiscali te maken hebben. We hebben al zeker 10 jaar internet met diverse providers en hebben dit nog
nooit meegemaakt. Nog nooit heeft een provider om die reden een klant afgesloten. Hoe zit het met hun beveiliging dan vraag ik me af. Ik heb reeds om opheldering gevraagd en om met bewijzen te komen en daar heb ik het volgende mailtje voor ontvangen:

Geachte abonnee,

Uw IP adres is genoteerd op de internationale zwarte lijst van virusverspreiders, waarbij het volgende transcript hoort:

| 82.171.29.214 | 2005-11-30 23:04:02 | 44 | Worm.Sober.U |

Ook is deze header ontvangen als bewijs, vanwege privacyredenen zijn de adressen van de klagende partij vervangen door <X>

Return-Path: <[email protected]>
X-Original-To:<X>
Delivered-To: <X>
Received: from seujr.nl (82-171-31-220.dsl.ip.tiscali.nl [82.171.31.220]) by server1.dynamic-ict.nl (Postfix) with SMTP id 44D9D70C133; Tue, 13 Dec 2005 00:00:43 +0100 (CET)
From: [email protected]
To: <X>
Date: Mon, 12 Dec 2005 22:52:10 GMT
Subject: Mail delivery failed
Importance: Normal
X-Priority: 3 (Normal)
Message-ID: <[email protected]>
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="e9ff49c9257ae1f2d"
Content-Transfer-Encoding: 7bit

Zoals u kunt zien gaat het om Sober.u. Wij hebben voor onze abonnee's de dienst Tiscali Anti-virus beschikbaar, die u op uw mailboxen kunt activeren, zodat er geen besmette emails binnen kunnen komen. Echter kunnen virussen zich ook op andere manieren verspreiden, zoals via netwerkverkeer, peer-2-peer verkeer (Kazaa, Edonkey, Bittorrent, Limewire etc) en via programma's die u van internet downloadt.

Ook bent u op 28-11 gewaarschuwd, en wel via onderstaande header:

Microsoft Mail Internet Headers Version 2.0
Received: from hd-main.ut.nl.tiscali.com ([10.31.0.250]) by NL-MAIL1.nl.tiscali.com with Microsoft SMTPSVC(6.0.3790.1830);
Mon, 28 Nov 2005 17:13:16 +0100
Received: by hd-main.ut.nl.tiscali.com (Postfix, from userid 80)
id 4D1E62DC; Mon, 28 Nov 2005 17:12:55 +0100 (CET)
To: [email protected]
Subject: [TISCALI] Officiele waarschuwing verspreiding virussen 82.171.29.214
From: Tiscali Abuse Team <[email protected]>
Cc: [email protected]
Content-type: text/plain
X-Tiscali-Abusemail: Yes
Message-Id: <[email protected]>
Date: Mon, 28 Nov 2005 17:12:55 +0100 (CET)
Return-Path: [email protected]
X-OriginalArrivalTime: 28 Nov 2005 16:13:17.0032 (UTC) FILETIME=[A435AE80:01C5F436]

Deze is naar uw adsl-account met cc naar een zonnetadres verzonden.

Met vriendelijke groet,

Dennis van Jeveren
Site Security and Internet Abuse Team

http://www.tiscali.nl

Postbus 8071
3503 RB Utrecht

Mail : [email protected]
Tel. 030 214 9700 (Dial-up)
Tel. 030 214 9704 (ADSL)
Fax. 030 214 9653 (Fax)

Nogmaals: We hebben geen eerste waarschuwingsmail ontvangen terwijl Tiscali beweert van wel.
Wat kunnen we hier nu mee? We willen niet betalen voor diensten die we niet krijgen maar we zijn bang dat we niet onder het contract uit kunnen. Wie kan ons helpen?

Het is vrij normaal dat klanten voor providers worden afgesloten indien er redelijke vermoedens danwel bewijzen zijn dat de klant in kwestie overlast veroorzaakt aan andere internetters (virusverspreiding), de wet overtreedt (oa hacking) of domweg aan het spammen is. Iedere zichzelf respecterende provider met een op zijn minst redelijk functionerende abusedesk doet dat met enige regelmaat. Tijdens een recente relatief grote uitbraak heeft bijvoorbeeld XS4ALL ook heel veel klanten tijdelijk van het netwerk gegooid.

Je IP-adres is klaarblijkelijk minstens twee maal gespot als verzender van een spam-mail, in dit geval veroorzaakt door sober.u en het daaraan gerelateerde sober.s. De eerste keer op 30 november (internationale blacklist, dat wil zeggen dat er meerdere spams gespot zijn vanaf het IP-adres in kwestie. Dat moet al enige tijd gebeurt zijn, want meestal kom je niet zo snel op dat soort blacklists), de tweede keer op 13 december.

Dat kan aldus drie oorzaken hebben:
1) Sober is weer teruggekomen op de PC en is dus niet opgepikt door de virusscanners in kwestie, de virusscanners stonden uit, ze waren niet up-to-date en/of er staan geen regelmatige full system scan gepland;
2) Sober is niet volledig of niet goed verwijderd van het systeem in kwestie, OF er is ergens een trojan achtergebleven die vervelende dingen uitvreet;
3) De klagers vergissen zich allemaal.

Optie 3 lijkt mij wat sterk, blijven opties 1 en 2 over. Sober is nog of alweer actief en is weer vrolijk spams aan het verzenden en/of zichzelf aan het verspreiden. Denk er aan dat Sober bijzonder diep in het systeem gaat zitten en verschillende registersettings omgooit.

http://www.trendmicro.com/vinfo/virusen ... Sect=T#ADD
http://www.trendmicro.com/vinfo/virusen ... ES&VSect=T

Handmatig, grondig verwijderen kan dan wellicht een oplossing zijn.

Qua Tiscali: ze hebben zich ingedekt tegen dit soort situaties in hun algemene voorwaarden (ze mogen je afsluiten of het contract eenzijdig ontbinden, eventueel met afkoopsom en ze kunnen zelfs de schade die zij hebben op je verhalen). Overigens doet nagenoeg iedere zichzelf respecterende provider dat. De meest effectieve oplossing is dan ook het grondig verwijderen van Sober en dan zorgen dat 'ie niet meer terugkomt. Anders zal ook een eventuele andere provider je net zo hard afsluiten...

Nogmaals: We hebben geen eerste waarschuwingsmail ontvangen terwijl Tiscali beweert van wel.
Wat kunnen we hier nu mee? We willen niet betalen voor diensten die we niet krijgen maar we zijn bang dat we niet onder het contract uit kunnen. Wie kan ons helpen?

Maak je PC virusvrij, betaal je adsl abonnement en laat je weer deblokkeren en zorg ervoor dat je niet weer een virus krijgt.